 Division de Caen Hérouville-Saint-Clair, le 26 mars 2012 N/Réf. CODEP-CAE-2012-014820 Monsieur le Directeur du CNPE de Paluel BP 48 76450 PALUEL
OBJET : Contrôle des installations nucléaires de base.

Inspection n° INSSN-CAE-2012-0745 du 6 mars 2012.

REFERENCES : 
[1] Arrêté du 10 août 1984 relatif à la qualité de la construction et de l'exploitation des installations nucléaires de bases.

Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu à l'article 4 de la loi n° 2006-686 du 13 juin 2006 relative à la transparence et à la sécurité en matière nucléaire, une inspection réactive a eu lieu le 6 mars 2012 au CNPE de Paluel à la suite de la détection d'un écart lors d'une inspection précédente réalisée le 16 février 2012.

J'ai l'honneur de vous communiquer, ci-dessous, la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent.

## Synthèse De L'Inspection

L'inspection du 6 mars 2012 portait sur le traitement d'un écart relatif au non respect d'un critère de sûreté au titre des RGE1 détecté par vos services lors du redémarrage du réacteur n° 4 de Paluel en novembre 2011 à la suite de l'arrêt programmé pour rechargement en combustible de ce réacteur. Lors de l'inspection ASN du 16 février 2012 portant sur la conduite normale de l'installation, les inspecteurs ont découvert un écart lors de leur visite de la salle de commande du réacteur n° 4 : le non respect du critère d'inter-comparaison des valeurs délivrées par deux capteurs de niveau de l'accumulateur 4RIS304BA du circuit RIS2. Suite à cette inspection, les inspecteurs ont demandé des 1 RGE : Règles Générales d'Exploitation 2 RIS : circuit d'Injection de Sécurité compléments sur l'origine et le traitement de cet écart. Au vu des écarts organisationnels potentiels liés à cet écart et à des incohérences dans les informations reçues, les inspecteurs ont réalisé une inspection réactive sur le sujet afin de faire un bilan complet de cette affaire.

Au vu de cet examen par sondage, les inspecteurs ont détecté un certain nombre de dysfonctionnements dans les processus de réalisation des essais périodiques, de la maintenance et de la requalification des matériels importants pour la sûreté par une équipe d'intervention. Ces dysfonctionnements sont probablement à l'origine de l'écart qui a été détecté tardivement. Par ailleurs, les inspecteurs considèrent que le processus décisionnel qui a amené le réacteur à redémarrer avec la persistance de cet écart est perfectible. Enfin, les inspecteurs ont constaté que le CNPE de Paluel n'avait pas informé l'ASN de cet écart détecté lors du dernier arrêt programmé du réacteur. L'inspection a fait l'objet de quatre constats d'écart notable.

## A.1 Et A.2 Information De L'Asn Sur Les Écarts Relatifs Au Chapitre Ix Des Rge

En préalable à cette inspection et à la suite de l'inspection ASN du 16 février 2012, les inspecteurs ont consulté les différents bilans envoyés à l'ASN lors de l'arrêt programmé pour rechargement en combustible du réacteur n° 4 en 2011. Les inspecteurs ont constaté que l'ASN n'a pas été informée de l'écart relatif au non respect du critère de sûreté dit « Cvf » des capteurs 4RIS341MN et 4RIS342MN, ainsi que de son traitement, ce qui n'est pas conforme à votre Disposition Transitoire n° 150. Ce point a fait l'objet d'un constat d'écart notable.

A.1 Je vous demande de veiller à informer l'ASN de tout écart relatif au non respect d'un critère de sûreté du chapitre IX des RGE notamment lors des arrêts de réacteur. Vous m'indiquerez les actions menées en ce sens et veillerez à identifier et à m'informer des causes exactes du dysfonctionnement évoqué ci-dessus. 

Les inspecteurs ont constaté que l'écart objet de l'inspection n'a pas fait l'objet de l'ouverture d'une fiche d'écart dans un délai raisonnable à la suite de sa détection. En effet, la fiche d'écart n° 11395 a été ouverte le 21 décembre 2011 alors que l'écart a été détecté le 10 novembre. De plus, l'écart détecté n'a pas fait l'objet d'une déclaration d'événement significatif au titre de la sûreté. Ces pratiques ne sont pas conformes au chapitre IX des RGE et à l'arrêté en référence [1].

Par ailleurs, au vu du caractère de l'écart, les inspecteurs considèrent qu'une analyse approfondie des causes de l'écart aurait dû être réalisée par le site et des actions auraient du être définies pour éviter le renouvellement d'un tel écart. Les inspecteurs ont ainsi pu mettre en exergue de nombreux dysfonctionnements à l'origine de l'écart et dans son traitement.

A.2 Je vous demande de déclarer un événement significatif pour la sûreté relatif à l'ensemble des écarts mis en exergue lors de cette inspection. 

## A.3 À A.5 Essai Périodique, Maintenance Curative Et Requalification Du Capteur 4Ris342Mn

Lors des différents échanges préalables à l'inspection, les inspecteurs vous ont interrogés sur les essais périodiques, la maintenance curative et la requalification réalisée sur le capteur 4RIS342MN. Ayant des difficultés à obtenir des informations cohérentes et complètes, les inspecteurs ont tenu à faire un bilan sur site de l'ensemble des activités réalisées sur ce capteur lors de l'arrêt programmé du réacteur n° 4 en fin d'année 2011. Concernant les essais périodiques, les inspecteurs retiennent des différents échanges avec vos représentants que :
- seule l'activité de contrôle de l'étalonnage du capteur au titre du chapitre IX des RGE (essai périodique du matériel) était programmée lors de cet arrêt selon l'ordre d'intervention (OI) n° 0605455,
- le contrôle d'étalonnage du capteur a été réalisé le 20/10/2011 selon la gamme EP RIS 1037 : 
cet essai périodique aurait dû être déclaré non satisfaisant mais la gamme envoyée aux inspecteurs indique que le contrôle était satisfaisant. En effet, les intervenants ont constaté des défaillances lors du contrôle étalonnage, ont procédé à des contrôles complémentaires pour finalement remplacer le capteur et faire un étalonnage de ce nouveau capteur. Ainsi, sur la gamme d'essai périodique renseignée apparaît le traitement de l'écart à travers l'ouverture d'une fiche d'écart n° 11259 et une analyse est renseignée. Cette gamme a ensuite été utilisée pour le contrôle d'étalonnage final du nouveau capteur et statue sur l'aspect satisfaisant de l'essai périodique. Tout a donc été fait sur le même document et selon le même OI. Ces pratiques ne sont pas conformes au chapitre IX des RGE et à l'arrêté en référence [1] et ont fortement contribué à l'incohérence des informations transmises aux inspecteurs avant l'inspection. 

A.3 Je vous demande de veiller au strict respect de l'arrêté en référence [1] et du chapitre IX des RGE par l'ensemble de vos services. Vous veillerez notamment à la rigueur de vos agents pour le renseignement des procédures utilisées. Vous m'indiquerez les actions menées en ce sens. Concernant la maintenance, les inspecteurs retiennent des différents échanges avec vos représentants que :
- aucune intervention de maintenance curative n'était programmée lors de cet arrêt, - au vu du résultat non conforme de l'essai périodique de contrôle de l'étalonnage du capteur, les intervenants ont réalisé des contrôles complémentaires et ont conclu à la nécessité de remplacer ce capteur. Ils ont réalisé cette intervention sous le même ordre d'intervention et avec le même plan de qualité que les documents utilisés pour l'essai périodique (OI n° 060545). Par ailleurs, le plan qualité renseigné ne fait pas référence à la fiche d'écart n° 11259. Ces pratiques ne sont pas conformes à vos exigences et à l'arrêté en référence [1] et ont fortement contribué à l'incohérence des informations transmises aux inspecteurs avant l'inspection A.4 Je vous demande de veiller au strict respect de l'arrêté en référence [1] par l'ensemble de vos services lors de toute intervention de maintenance sur des matériels importants pour la sûreté. Vous veillerez notamment à la rigueur de vos agents pour le renseignement des procédures utilisées et des fiches d'écarts initiées. Vous m'indiquerez les actions menées en ce sens. Concernant la requalification du capteur après intervention, les inspecteurs ont tenu à vérifier l'application des prescriptions de la Directive Interne n° 76 à l'indice 1 relative à la requalification avant remise en exploitation. Vos représentants ont indiqué que les prescriptions de cette directive n'avaient pas été respectées et que, notamment, aucune analyse de suffisance et de risques de la requalification n'avait été réalisée. Les intervenants ont uniquement réalisé un contrôle d'étalonnage du capteur remplacé sans analyser l'impact de cette intervention sur le maintien des performances de sûreté notamment. Ces pratiques ne sont pas conformes à vos exigences et à l'arrêté en référence [1]. Par ailleurs, la réalisation d'une requalification adéquate aurait a priori permis de détecter beaucoup plus tôt le non respect du critère de sûreté, objet de l'inspection. Ce point a fait l'objet d'un constat d'écart notable.

A.5 Je vous demande de veiller au strict respect de l'arrêté en référence [1] et des prescriptions de la Directive Interne n° 76 par l'ensemble de vos services. Vous m'indiquerez les actions menées en ce sens.

## A.6 Analyses De Sûreté Liées Au Non Respect Du Critère De Sûreté

Les inspecteurs ont examiné les analyses d'impact du non respect du critère de sûreté formalisées :
- par le SAU3, partagée par le SSQ4, dans une CTE5 en temps réel lors de la détection de l'écart, - par le SSQ, représentant de la filière indépendante de sûreté du site, à la suite d'une demande de l'ASN.

L'examen de l'analyse du SAU montre que cette analyse statue sur le caractère technique acceptable du non respect de critère au vu des caractéristiques mesurées sur les capteurs lors de la 3 SAU : Service « Automatismes » du CNPE de Paluel 4 SSQ : Service Sûreté Qualité du CNPE de Paluel 5 CTE : Consigne Temporaire d'Exploitation détection du défaut. Les inspecteurs considèrent que l'analyse aurait dû également porter sur le risque de dérive de l'un ou des deux capteurs en cours de cycle en définissant notamment des moyens de contrôle de cette dérive et des seuils de dérive pour lesquels une nouvelle analyse et de nouvelles actions doivent être menées.

L'examen de l'analyse du SSQ montre les points suivants :
- L'analyse est réalisée dans le cadre de la mission de conseil-assistance du SSQ. Les inspecteurs souhaitent disposer d'une analyse dans le cadre de la mission d'analyse indépendante de celle réalisée par les services opérationnels, ce qui n'avait pas été précisé dans la demande initiale de l'ASN.

- Le relevé des faits ne permet pas de caractériser suffisamment l'origine de la détection de l'écart, le traitement de cet écart et les processus décisionnels sollicités. Il ne permet pas non plus de connaître le positionnement de la filière indépendante de sûreté en lien avec la chronologie des faits. Enfin, vos représentants n'ont pu confirmer le jour de l'inspection qu'une reprise du réglage de la carte BUX (carte électronique de traitement du signal issu du capteur) ait été réalisée.

- L'analyse portant sur l'impact du non respect du critère sur les STE6 se limite, d'une part, à indiquer que les valeurs mesurées par les deux capteurs sont conformes aux valeurs attendues dans les STE sans prendre en compte la défaillance potentielle des capteurs, et d'autre part, à justifier la mesure palliative mise en œuvre.

- L'analyse portant sur les actions à mener dans le cadre d'un non respect de critère de sûreté au titre du chapitre IX des RGE ne se positionne pas sur l'acceptabilité de considérer la correction de l'écart lors du prochain arrêt de réacteur comme étant « dans les plus brefs délais » au vu de la date de détection et de l'état du réacteur alors en arrêt pour rechargement. La conclusion de cette analyse sur le fait que le SSQ estime que cet écart doit être traité comme un événement intéressant la sûreté et non pas comme un événement significatif pour la sûreté, comme indiqué dans le chapitre IX des RGE, ne semble pas adéquat au vu notamment du manque d'analyse du SSQ sur l'origine de l'écart et sur sa détection tardive.

- Dans la conclusion globale de l'analyse, les inspecteurs ont pris note de l'évolution du positionnement du SSQ demandant dorénavant une intervention sur les capteurs dès que l'état du réacteur le permettra.

Enfin, concernant ces analyses, vos représentants ont indiqué lors de l'inspection disposer d'un retour d'expérience national sur le traitement de ce type d'écart qui a permis de mener à bien ces analyses mais qui n'est pas cité dans les analyses. 

Je vous demande de prendre en compte l'ensemble des points évoqués et de mettre à jour vos analyses de sûreté liées au non respect du critère de sûreté d'inter-comparaison des capteurs 4RIS341MN et 4RIS342MN. Vous me transmettrez ces analyses après validation par vos services centraux.

## A.7 Processus Décisionnel De Redémarrage Du Réacteur Avec Un Critère De Sûreté Non Respecté

Les inspecteurs ont constaté que la détection de l'écart est intervenue la veille de la divergence du réacteur : ils ont examiné le processus décisionnel de redémarrage du réacteur avec un critère de sûreté non respecté et notamment l'implication du SSQ en tant que filière indépendante de sûreté dans cette prise de décision. Il ressort des échanges avec vos représentants les faits suivants :
- L'IS7 d'astreinte, représentant de la filière indépendante de sûreté, est à l'origine de la détection de l'écart le 10 novembre 2011. S'interrogeant sur l'écart entre les valeurs relevées sur les deux capteurs 4RIS341MN et 4RIS342MN en salle de commande, il demande de réaliser une intercomparaison des valeurs délivrées par ces capteurs afin de vérifier le critère dit « Cvf » qui fait l'objet d'un contrôle à chaque cycle au titre des essais périodiques du chapitre IX des RGE.

- Une COMSAT8 se réunit dans l'après-midi du 10 novembre 2011 afin de garantir un état de l'installation conforme aux RGE pour permettre la divergence du réacteur. Cette commission émet un avis pour le changement d'état du réacteur en identifiant notamment certaines réserves dites « bloquantes » à lever avant le changement d'état. Elle est constituée principalement d'un membre de la direction, des différents métiers opérationnels et d'un membre de la filière indépendante de sûreté appartenant au SSQ. L'organisation et les missions de cette commission sont définies dans la Directive Interne n° 71 à l'indice 2 qui indique notamment : « Dans le cas où une réserve ne peut être levée que par des dispositions particulières ou palliatives, ces dernières doivent figurer explicitement sur le Relevé de Décisions établi par la COMSAT ». A la suite de la demande de contrôle du critère « Cvf » formulée par l'IS, le relevé de décision en date du 10 novembre 2011 identifie la réserve bloquante suivante : « Vérification du critère CVF sur 4RIS341MN et 4RIS342MN ».

- Le SAU réalise une mesure du critère « Cvf » en fin d'après-midi et détecte le non respect du critère défini dans le chapitre IX des RGE. Le service mène son analyse concluant à l'acceptabilité de l'écart sous réserve de la mise en œuvre d'une CTE en salle de commande. Le service lève alors la réserve bloquante identifiée en COMSAT, malgré le non respect du critère et la mise en œuvre de dispositions palliatives qui n'étaient pas identifiées dans le relevé de décisions de la COMSAT. 

Les inspecteurs ont constaté qu'aucun relevé de décision de la direction n'avait été formalisé entre la tenue de la COMSAT et la levée de la réserve malgré le non respect avéré du critère de sûreté et la mise en œuvre de mesures palliatives. Cette pratique n'est pas conforme à votre Directive Interne n° 71 à l'indice 2 et à l'arrêté en référence [1]. Ce point a fait l'objet d'un constat d'écart notable.

Par ailleurs, vos représentants ont indiqué que la filière indépendante de sûreté partageait l'analyse des services opérationnels sur l'aspect sûreté mais regrettait que le traitement technique de l'écart soit repoussé au prochain arrêt. Enfin, un accompagnement de décision a pu être fourni aux inspecteurs mais la version présentée n'était pas signée et indiquait que ce document avait été émis le 13 novembre 2011 soit deux jours après les faits. Aucun avis de la filière indépendante de sûreté sur le traitement de cet écart n'était formalisé dans ce document. 

Je vous demande de veiller au strict respect de l'arrêté en référence [1] et des prescriptions de votre Directive Interne n° 71. Vous m'indiquerez les actions menées en ce sens.

## B. Compléments D'Information B.1 Surveillance En Salle De Commande

Au vu des relevés fournis sur les valeurs mesurées par les capteurs 4RIS341MN et 4RIS342MN, les inspecteurs considèrent que l'écart, objet de l'inspection, aurait pu être détecté a minima, dès le 6 novembre 2011, lors de la pressurisation des accumulateurs voire, quelques jours avant, lors du remplissage des accumulateurs. L'écart a été détecté le 10 novembre 2011 par l'IS d'astreinte, lors de son évaluation de sûreté du réacteur en salle de commande du réacteur n° 4, juste avant le redémarrage du réacteur et à la suite de l'apparition fugitive d'une alarme liée à ces capteurs. En effet, l'IS a constaté un écart de valeurs retransmises par les deux capteurs sur les indicateurs de niveau puis a confirmé cet écart sur les indicateurs numériques et par la présence d'une alarme sur un écran de surveillance. Au vu de ces éléments, les inspecteurs se sont rendus en salle de commande du réacteur n° 4 pour examiner les moyens à disposition des agents de conduite de quart et des IS pour détecter ce type d'écart. Ils ont constaté les faits suivants :
- Les indicateurs de niveau présents en salle de commande ne permettent pas une intercomparaison facile des capteurs mais c'est a priori le moyen qui a amené l'IS d'astreinte, à l'origine de la détection, à investiguer sur cet écart.

- Les indicateurs numériques permettent de comparer plus facilement les valeurs. Un relevé journalier de ces valeurs est réalisé par les agents de conduite afin de vérifier le respect des valeurs prescrites par les STE. Néanmoins, ces relevés ne sont a priori effectués que lorsque le réacteur est dans l'état « Réacteur en Production » : les relevés consultés étaient renseignés à partir du 14 novembre 2011, soit trois jours après le passage dans cet état. Les inspecteurs ont attiré votre attention sur l'intérêt de réaliser ces relevés dès que les accumulateurs RIS sont requis au titre des STE car, même si le but de ces relevés n'est pas de comparer les valeurs des deux capteurs, ils auraient pu permettre de détecter l'écart plus tôt avec une attitude interrogative adaptée des agents de conduite.

- Un essai périodique « KSC 300 » est réalisé de manière hebdomadaire lorsque le réacteur est dans l'état « Réacteur en Production » : cet essai demande de réaliser une comparaison des valeurs numériques transmises par les capteurs selon un critère défini. Les inspecteurs ont attiré votre attention sur l'intérêt de réaliser ce type d'essai périodique dès que les accumulateurs RIS sont requis au titre des STE car ceci aurait pu permettre de détecter l'écart plus tôt.

- Les contrôles ultimes avant changement d'état prescrivent uniquement la vérification de la conformité avec les STE des valeurs mesurées par les capteurs et l'absence d'alarme liée à ces capteurs, sans apporter de vigilance particulière sur la comparaison de ces valeurs. 

Je vous demande de me faire part de votre analyse sur les moyens à mettre en œuvre pour la surveillance en salle de commande dans des états du réacteur à l'arrêt au vu des éléments cités ci-dessus.

C. Observations Néant.

Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excèdera pas **deux mois**. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation.

Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée.

Pour le directeur général de l'ASN et par délégation, Le chef de Division, signée par Simon HUFFETEAU